AWS Control Tower
自动化多账户 AWS 环境的设置和治理，统一管理安全与合规基线的服务
概述
AWS Control Tower 是一项用于安全高效地设置和管理 AWS 多账户环境的服务。自动构建基于最佳实践的多账户配置（Landing Zone），通过护栏（预防性和检测性控制）在整个组织强制执行安全策略。Account Factory 可在数分钟内从模板创建新账户，创建时自动应用护栏。集成配置 Organizations、IAM Identity Center、CloudTrail、Config 等 AWS 服务。
护栏类型与应用策略
Control Tower 的护栏 (AWS 文档现称为“控制”) 按行为分为 3 类。预防性护栏 (Preventive) 通过 SCP、RCP (资源控制策略) 和声明式策略等 Organizations 策略实现，阻止被禁止的操作，例如禁止停用 CloudTrail、禁止在特定区域外创建资源等。检测性护栏 (Detective) 通过 Config 规则实现，检测策略违规并通知。主动性护栏通过 CloudFormation 钩子实现，在部署前验证模板以预防违规资源的创建。实际应用中，除必需护栏外，还按 OU 应用基于多账户环境最佳实践的强烈推荐护栏，以及根据需求选择的可选护栏。根据 AWS 文档 (截至 2026 年 10 月)，从 Landing Zone 版本 4.0 起，必需控制默认不再应用。Azure Landing Zone 是由用户自行部署和配置 Bicep 或 Terraform 模板的方式；Control Tower 是作为托管服务从控制台构建 Landing Zone 的方式。
OU 结构与 Account Factory 设计
OU 结构设计是导入 Control Tower 时的重要环节。AWS 关于多账户策略的白皮书推荐划分 Security OU (日志归档和审计账户)、Infrastructure OU (共享网络和 DNS)、Workloads OU (生产和开发环境) 等 OU。Security OU 中放置日志归档账户和审计账户，这些在 Control Tower 设置时自动创建。通过 Account Factory 创建的账户会应用所在 OU 中已启用的护栏。使用 Account Factory Customization (AFC) 可在新账户创建时自动应用 VPC 设置、IAM 角色和安全工具启用等，实现账户引导的自动化。
向现有 Organizations 环境导入的注意事项
向现有 Organizations 环境后期导入 Control Tower 时有几个注意事项。需要执行现有账户的注册 (Enroll) 操作，必须事先确认与现有 SCP 和 Config 规则的冲突。注册时 Control Tower 会通过堆栈集部署 CloudTrail、Config 等基础设置，因此需事先确认这些模板与现有策略不冲突。现有 Config 规则与检测性护栏重复时成本上也会产生浪费，因此集成前需要盘点。Landing Zone 版本升级也是重要的运维任务，需要更新时控制台会显示提示。更新失败时不会回滚到之前的 Landing Zone 版本，因此应事先确认更新内容并验证对现有工作负载无影响后再应用。通过与 IAM Identity Center 集成，可统一管理所有账户的单点登录。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。